Laravel多应用共享会话配置异常：勾选“保持登录”触发419错误

核心原因 #

勾选“保持登录”时，Laravel会生成持久化的remember cookie，当前场景下的419错误大概率源于以下配置或结构不一致问题：

1. 中心账号节点与后端应用的users表remember_token字段不统一
2. Remember cookie的域名/有效期配置冲突
3. 跨应用跳转后的CSRF令牌验证失效

具体解决步骤 #

1. 统一所有应用的用户表结构 #

• 确保中心账号节点和两个后端应用的users表都包含remember_token字段，类型为VARCHAR(100)且允许为空（Laravel默认结构）
• 同步所有应用的用户迁移文件，执行php artisan migrate确保表结构完全一致

2. 修正会话与Remember Cookie配置 #

在中心账号节点和所有后端应用的.env文件中统一以下配置：

# 会话Cookie域名设为根域名，确保跨子域共享
SESSION_DOMAIN=.ourdomain.com
# 统一会话驱动为数据库
SESSION_DRIVER=database
# 保持登录的有效期（默认5年，可按需调整）
REMEMBER_ME_DURATION=432000
# 所有应用必须使用完全相同的APP_KEY
APP_KEY=your-unique-global-app-key-here
# 统一会话Cookie名称
SESSION_COOKIE=laravel_session

同时在config/session.php中确认关键配置：

'cookie' => env('SESSION_COOKIE', 'laravel_session'),
'domain' => env('SESSION_DOMAIN', null),
'lifetime' => env('SESSION_LIFETIME', 120),
'expire_on_close' => false,

注：expire_on_close设为false是持久化会话的前提，勾选“保持登录”时Laravel会自动适配有效期，但统一配置可避免冲突。

3. 调整CSRF验证规则 #

跨应用跳转后原后端的CSRF令牌会失效，需在后端应用的app/Http/Middleware/VerifyCsrfToken.php中，将中心节点的回调路由加入白名单：

protected $except = [
    '/auth/callback', // 中心节点登录后的回调路由
    'my-account.ourdomain.com/*',
];

4. 统一会话表结构 #

确保所有应用共享同一个会话数据库连接，且session表为Laravel默认结构（通过php artisan session:table生成），避免因表字段差异导致会话持久化失败。

5. 本地测试排查要点 #

• 本地测试时确保子域名配置正确（如backend1.localhost、my-account.localhost，需在hosts文件中映射）
• 清除浏览器所有缓存和Cookie后重新测试，避免旧无效Cookie干扰
• 查看storage/logs/laravel.log，定位419错误的具体触发点（如CSRF验证失败、会话加载失败）

内容的提问来源于stack exchange，提问作者Max Carvalho